Стабилните адреси на OpenVPN трябва да следват идентичността, а не IP адреса на източника

Плановете за адреси, които казват „този лаптоп получава 10.90.0.10“, всъщност са твърдения за идентичност: кое удостоверено устройство може да държи този адрес. Текущият публичен IP на устройството почти няма общо с това, защото NAT и роумингът го променят, без да променят кой е потребителят. Изграждането на плана върху адреса на източника създава правила, които се чупят в първата хотелска мрежа. Изграждането му върху удостоверената идентичност създава план, който издържа на пътуване.

Започнете от това, което сървърът може да провери, после решете за какво е адресът.

Изберете ключа за идентичност преди адреса

Отделен клиентски сертификат за всяко устройство дава на сървъра стабилен, проверим ключ за всеки член, което е най-чистата основа за статично назначение. Внедряване с удостоверяване по потребител може вместо това да разчита на потребителското име, стига изборът на конфигурация да следва същото поле. Смесването на двата модела създава назначения, които съвпадат със сертификат за един клиент и с потребителско име за друг, и никой не може да предвиди кой ще надделее. Решете кой ключ използва планът, преди да напишете дори една резервация.

С duplicate-cn няколко едновременни сесии могат да представят едно и също общо име, така че един фиксиран адрес не може да ги идентифицира поотделно. Това е свойство на модела на идентичност, а не нещо, което по-добър план за адреси може да поправи.

Резервирайте адреси извън динамичния диапазон

В мрежа с топология на подмрежа като 10.90.0.0/24 запазете ниските адреси за именувани членове и поставете динамичния пул в отделен диапазон. Назначение за фиксиран член изглежда така ifconfig-push 10.90.0.10 255.255.255.0 във файла, който сървърът избира за тази идентичност. Вторият аргумент означава нещо различно при net30, така че примерът не е неутрален спрямо топологията. Прочетете топологията, преди да го копирате.

Устойчивостта на пула записва скорошни наеми и е склонна да връща същия адрес, което е удобство, а не резервация. Не позволявайте на файла за устойчивост да стане запис на собствеността, защото той се променя с историята на връзките, а не с политиката.

Приоритетът на назначението решава кой печели

Ръководството документира ред: изрично назначение, генерирано по време на client-connect, може да влезе в сила преди запис в client-config-dir, който от своя страна предхожда обичайното разпределение от пула. Този ред обяснява повечето доклади „фиксираният адрес не се приложи“. Той също означава, че динамичен разпределител, който пише конфигурация за всяка сесия, може тихо да пренапише статичен файл, който сте смятали за авторитетен.

Изберете един слой да притежава назначенията и направете останалите само за четене. Два слоя, които и двата претендират да решават, създават назначения, зависещи от времето.

Динамичният разпределител се нуждае от същия модел

Интеграция с client-connect, която раздава адреси за всяка сесия, е малък разпределител с обичайните проблеми на разпределител. Той трябва да валидира заявяващата идентичност, да резервира адрес атомарно, да извежда само поддържания изход за връзка и да освобождава резервацията при прекъсване или отказ. Едновременните заявки се нуждаят от заключване или ограничение в базата данни, а не от последователност „четене, после запис“. Без почистване пулът изтича адреси до рестартиране.

Дръжте състоянието на разпределителя там, където следващият оператор може да го прочете, и записвайте решението идентичност-към-адрес, а не само адреса.

Решете дали адресът е политика или удобство

Ако правило на защитна стена или маршрут позволява трафик от един тунелен адрес, тогава адресът участва в политиката за достъп и преназначаването наследява това разрешение. Координирайте жизнения цикъл на идентичността, адреса и защитната стена или обвържете правилото с нещо, което не може да бъде преназначено. Стабилната адресация прави конфигурацията четима; тя не заменя удостоверяването.

Напишете плана като инвентар със собственик за всеки запис, после го прегледайте, когато устройство бъде изведено от употреба. Неизползваната резервация е тази, която бива използвана повторно по погрешка.